chap0x10 实战fail2ban防止Basic认证暴力破解和SSH口令爆破

最新推荐文章于 2023-04-10 18:00:14 发布
最新推荐文章于 2023-04-10 18:00:14 发布
阅读量894 收藏
点赞数 1
分类专栏： 编码
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/jackcily/article/details/85149769
版权

chap0x10 实战fail2ban防止Basic认证暴力破解和SSH口令爆破

  • 实验背景

    • 实验环境
      kali ip 169.254.227.181
      物理机 （虚拟网卡 ip ：169.254.227.181) cmder

    • Apache2的basic认证

      基本认证（Basic access authentication）是一种用来允许网页浏览器或其他客户端程序在请求时提供用户名和口令形式的身份凭证的一种登录验证方式。

    • 配置Apache2开启basic认证

      • Apache2一些默认配置路径

        apache2 log的默认文件路径 /var/log/apache2
apache2 虚拟主机配置文件  /etc/apache2/sites-enabled/000-default.conf
apache2 网站默认根目录  /var/www/html/

      • 修改Apache2开启basic认证

        htpasswd -bc db test 1234  #首先生成用户名和密码
cat db #查看生成的用户名密码

 vim /etc/apache2/sites-enabled/000-default.conf  #打开配置文件
向文件中添加以下内容
 
<Directory "/var/www/html">        #需要保护的文件路径
AuthType Basic                 #认证模式为 basic
AuthName "Restricted Content"  
AuthUserFile /etc/apache2/sites-enabled/db   #设置生成的用户名和密码的路径
  Require valid-user  #设置可访问的用户
</Directory>
问修改文件保存后，重启Apache2
 service apache2 restart

      配置完成以后，在主机浏览器直接访问kali ip （169.254.227.182），显示如下：
      图一

    • 配置kali 支持SSH 登录

      • 配置SSH参数

        vim /etc/ssh/sshd_config   #打开SSH配置文件

修改以下项：
PasswordAuthentication yes
PermitRootLogin yes

      • 启动SSH服务和使用SSH登陆

        service ssh start

使用SSH登陆kali虚拟机命令如下（主机 cmder中执行)
ssh root@ip  -p 22

    • 安装fail2ban

      apt insatll fail2ban （-v 0.10)

  • 实验内容

    fali2ban通过扫描日志文件阻止ip访问（时间可设定），fail2ban 通过更新防火墙规则，对可疑ip实施特定的action，防止在短时间内攻击者对口令的枚举（暴力破解）。

    • fail2ban防止Basic认证暴力破解

      首先配置fail2ban对Apache2口令的监视

      vim  /etc/fail2ban/jail.local #首先打开配置文件
在文件中添加以下内容

[apache]
enabled  = true
port     = http,https
filter   = apache-auth   #进行认证监听
logpath  = /var/log/apache2/error.log  #默认监听路径
maxretry = 2     #允许尝试次数
findtime = 600

sudo systemctl enable fail2ban  #打开fail2ban 
sudo systemctl restart fail2ban  #重启fail2ban服务

      打开kali中的Apache2服务 service apache2 start

      配置完成后，在主机浏览器中使用 ip访问虚拟机kali,使用错误的用户名密码输入两次以后，无法访问虚拟机kali的Apache服务了，此时查看iptables,可以发现iptables中多了一条阻止本机进行http访问的规则,如下：

      Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
f2b-apache  tcp  --  anywhere             anywhere             multiport dports http,https

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain f2b-apache (1 references)
target     prot opt source               destination         
REJECT     all  --  169.254.227.181      anywhere             				reject-with icmp-port-unreachable
RETURN     all  --  anywhere             anywhere

      bantime结束以后，查看iptables中f2b-apache的对ip 169.254.227.181 的阻止规则被清除。

    • fail2ban防止SSH口令爆破

      首先配置fail2ban对SSH登录的监视

      vim  /etc/fail2ban/jail.local #首先打开配置文件
在文件中添加以下内容
[sshd]
enabled = true
banaction = iptables-multiport

sudo systemctl enable fail2ban  #打开fail2ban 
sudo systemctl restart fail2ban  #重启fail2ban服务

      查看fail2ban中SSH相关配置

      vim /etc/fail2ban/jail.conf   #查看配置文件
bantime =10m  #默认阻止ip 10分钟
findtime = 120   #连续时间 在连续的 findtime 如果失误次数达到 maxretry 就禁止对应ip访问 bantime 的时长
maxretry = 5  #允许失误次数	

[sshd]
#mode   = normal
port    = ssh                     #设置fail2ban 监听端口
logpath = %(sshd_log)s    #默认监听的logpath
backend = %(sshd_backend)s

其中 logpath 在 /etc/fail2ban/paths-common.conf 中被赋值为var/log/auth.log

      在SSH登录时，尝试输入错误的密码
      命令行中显示如下：
      图三

      从上图中可以看出，在第一次输入密码错误以后，第二次尝试登录时服务器无响应。

      此时查看kali中 iptables ，如下，iptables中多了一条阻止本机SSH登录的规则，主机尝试进行密码正确的SSH登录，无响应：

      iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
fail2ban-SSH  tcp  --  anywhere             anywhere             tcp dpt:ssh

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain fail2ban-SSH (1 references)
target     prot opt source               destination         
REJECT     all  --  169.254.227.181      anywhere             reject-with icmp-port-unreachable
RETURN     all  --  anywhere             anywhere

      等阻止事件结束，再次查看iptables，如下，此时 iptables中的阻止本机SSH登录的规则已经被清除，主机尝试进行密码正确的SSH登录，成功登录：

      
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
fail2ban-SSH  tcp  --  anywhere             anywhere             tcp dpt:ssh

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain fail2ban-SSH (1 references)
target     prot opt source               destination         
RETURN     all  --  anywhere             anywhere

  • 参考资料

jackcily
关注
专栏目录
[ web基础篇 ] Burp Suite 爆破 Basic 认证密码
qq_51577576的博客
09-17 2341
Burp Suite 爆破 Basic 认证密码 在HTTP中，基本认证（Basic access authentication）是一种用来允许网页浏览器或其他客户端程序在请求时提供用户名和口令形式的身份凭证的一种登录验证方式。
HTTP Basic认证 爆破
diechusi8056的博客
01-12 1702
基于HTTP Basic认证的爆破网上有好多神器可以用，比如Burp Hydra等等。这里推荐一个小巧的pYTHON写的小工具，htpwdScan usage: htpwdScan.py [options] * An HTTP weak pass scanner. By LiJieJie * optional arguments: -h, --he...
Golang实现更安全的HTTP基本认证(Basic Authentication)
neweastsun的专栏
04-10 3197
本文介绍了Go如何实现安全http基本认证，首先介绍原理，后面给出详细实现过程，最后通过curl和GO http客户端进行验证。详细内容参考：https://www.alexedwards.net/blog/basic-authentication-in-go。
SSH的两种验证方式
杨钊
08-24 7877
准备知识 对称加密：双方使用同一个密钥，既可以加密又可以解密，也称单密钥加密。 优点：速度快，对称性加密通常在消息发送方需要加密大量数据时使用。 缺点：如何把密钥发送到需要解密你的消息的人的手里是一个问题。在发送密钥的过程中，密钥有很大的风险会被黑客们拦截。 非对称加密：一对密钥由公钥和私钥组成。一个公钥对应一个私钥。私钥只有自己知道，公钥大家都知道。如果用其中一个密钥加密数据，则只有对应...
awk制作Basic_Auth登录认证字典
春日野穹
11-21 500
引言~ 我们在渗透的时候，会经常遇到Basic_Auth登录认证（如下图），面对Basic_Auth，我们一般会利用burp进行暴力破解，但Basic_Auth认证字段并非常见格式，常规字典无法进行爆破，这时候我们可以利用Linux下的awk工具改造爆破字典，当然，burp也提供了Basic_Auth登录爆破，但burp提供的Basic_Auth爆破功能用起来总觉得不舒服，故有了下文 关于Basic_Auth登录认证可参看：https://blog.csdn.net/chest_/article/deta
实验十-配置PAP和CHAP认证实验.doc
09-01
【PAP认证详解】 PAP（Password Authentication Protocol）是一种简单的身份验证协议，广泛应用于PPP（Point-to-Point Protocol）环境中。在PAP认证过程中，客户端会将用户名和密码以明文形式发送到服务器进行验证...
基于CHAP认证的公司与分部安全互联.rar
02-15
2、学习目标：配置路由器接口，搭建OSPF网络，配置PPP的CHAP认证，对端配置CHAP验证 3、应用场景：基于PAP认证的公司与分部安全互联 4、特点：Word文档提供了实验的详细过程，包括每一步骤的操作命令和截图，并给出...
chap和pap认证内附抓包截图
09-20
这种认证方式非常直接，但安全性较低，因为所有的认证信息都是以明文形式在网络上传输，容易被截获和破解。 ##### PAP认证流程： 1. **初始化**：PPP链路建立后，被验证方发送认证请求。 2. **认证请求**：被验证方...
chap7.rar_BP网络_chap7_2b
07-14
标题中的"chap7.rar_BP网络_chap7_2b"提到了BP网络，这是一个关键的神经网络模型，全称为反向传播（Backpropagation）网络。BP网络在机器学习领域广泛应用，尤其在模式识别和函数逼近问题上表现突出。这个压缩包包含...
iscsi与chap认证
01-08
iscsi支持chap认证，chap认证分为incoming和outgoing，本文介绍了linux客户端和windows客户端的iscsi chap的认证配置方法
路由器Basic Auth暴力破解器 v1.0 (VC源码)
02-01
采用VC编程，源碼VS2010编译通过 针对使用Basic Authentication认证的管理后台登录方式做暴力破解 程序有小BUG，但是猜解没有问题 相关开发进度请参阅CSDN BLOG http://blog.csdn.net/yehjordan/article/details/18892355
暴力破解之ApacheBASIC认证
枫梓林のBlog
05-05 1454
暴力破解-破解 Apache BASIC 认证 文章目录暴力破解-破解 Apache BASIC 认证0x01 通过暴力破解web登录页面获得管理员权限1.分析后台登录页面源代码2.使用 bp进行暴力破解0x02 使用 burpsuite 破解 web 站点0x03 配置Apache 的基本认证 Basic Authentication1.什么是Basic Authentication2.Apache 配置 BASIC 认证0x04 暴力破解 Apache BASIC 认证1.创建一个密码文件2.使用b
Iptalbes自动封杀暴力破解（Qmail邮件系统）者的IP地址
weixin_33966365的博客
11-15 213
今天发现Qmail邮件系统的maillog里面有大量的“user not found”信息，通过下面的日志不难发现，是来自同一IP的很多不同的用户连接Qmail邮件系统认证失败的信息。黑客试图通过这种方式来破解Qmail邮件系统的用户名和密码，从而来发送大量的垃圾邮件和病毒邮件。 大量的并发连接会消耗Qmail系统的性能，甚至在严...
BASIC认证html通过办法
zhuixunhebe1的专栏
03-08 842
<%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%> <!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd"> <meta ht
实战 fail2ban 安装
weixin_34163741的博客
11-03 235
1.安装fail2ban原因本人的网站自从搭建好一段时间后被问候了无数次，阿里云安全团队真敬业，夜里都给我发异常通知短信，感谢！！！（给他做个广告）[root@Lnmp logs]# awk '{print $1}' access.log|sort|uniq -c|sort -rn|head -10 18559 121.42.0.38 16353 121.42.0.39...
用burpsuite进行 basic Authentication爆破
qq_44881113的博客
10-29 1794
第一步抓包 把Basic 后面的密文进行解码 YWRtaW46YWRtaW4= 使用Base64进行解码 发现格式为 admin:admin 然后使用burp里面的intruder模块进行爆破 首先设置payload的位置 第二步设置payloads 原始的格式是 admin:admin 我们应该将这个分为三部分 第一部分 username admin 第二部分 ： 第三部分 password admin 在设置payload的时候 我们也应该对应设置 payload类型我们设置为cust.
DC-2（渗透实战演练）
weixin_44537595的博客
10-19 225
信息收集 扫描端口 访问网站发现有跳转，但是显示失败，需要我们进行ip和域名绑定 通过/etc/hosts绑定 浏览网站发现flag 大致意思说，你字典有问题，需要cewl工具生成字典 Cewl http://dc-2 -w /tmp/passwd.dict1 扫描网站目录 可以通过gobuster 、dirb、metasploit扫描 结果 /index.php (Status: 301) /wp-content (Status: 301) /wp-admin (Status: 301) .
pycurl验证basic和digest认证
小龙在线
01-17 842
简介 pycurl类似于Python的urllib，但是pycurl是对libcurl的封装，速度更快。 本文使用的是pycurl 7.43.0.1版本。 Apache下配置Basic认证 生成basic密码文件 htpasswd -bc passwd.basic test 123456 开启mod_auth_basic LoadModule auth_basic_mod
Spring Security中自定义认证逻辑（防暴力破解）
qq_32238611的博客
06-11 1734
项目开发时，需要对服务接口进行防暴力破解的防护，项目中使用的Spring Security没有对放暴力破解的支持，所以需要自己重写Spring Security中的认证逻辑来实现防暴力破解的能力。本次使用的软件版本如下：Spring Boot 2.6.7 （配套的Spring Security版本是5.6.3）下面是具体的实现案例，先简单梳理下实现方案。基于servlet的应用和基于webflux的应用实现有点不太一样，这边都整理一下，不过差别也不大。新增Spring Security配置类，继承WebSe
路由器r1和r2上配置实现ppp协议的双向chap认证
最新发布
05-24
下面是路由器R1和R2上配置实现PPP协议的双向CHAP认证的示例配置： 在R1上的配置： ``` R1(config)# username R2 password cisco R1(config)# interface Serial0/0/0 R1(config-if)# ppp authentication chap R1...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值